Vereinbarung zur Auftragsverarbeitung nach Artikel 28 DSGVO

extocode GmbH, Version 1.0, Fassung 2026110801, Stand 08.11.2026

für den Betrieb von COD als Shared Hosted oder Private Hosted, für Teststellungen und für den Fernzugriff auf Instanzen des Auftraggebers bei Pflege, Support, Projekt- und Betriebsleistungen

zwischen

dem Auftraggeber, der COD oder Leistungen zu COD unmittelbar von der extocode GmbH oder über einen Partner der extocode GmbH bezieht und im Auftrag nach Ziffer 1.1 genannt ist, im Folgenden "Auftraggeber oder Partei 1",

und

extocode GmbH, Kotzinger Str. 21, 83278 Traunstein, im Folgenden "Auftragnehmer oder Partei 2",

zusammen die "Parteien", jede einzelne eine "Partei".

Geschlechtsbezogene Formulierungen gelten für Frauen und Männer gleichermaßen.

Präambel

Der Auftragnehmer ist Hersteller des Central Operations Dashboard ("COD"). Der Auftraggeber bezieht COD oder Leistungen zu COD unmittelbar vom Auftragnehmer oder über einen Partner des Auftragnehmers. In den Betriebsarten Shared Hosted und Private Hosted betreibt der Auftragnehmer die Instanz, in die der Auftraggeber personenbezogene Daten einbringt. Bei Pflege, Support, Projekt- und Betriebsleistungen greift der Auftragnehmer auf Weisung auf Instanzen zu, die der Auftraggeber oder ein Dritter für ihn betreibt. Für diese Verarbeitungen ist der Auftraggeber Verantwortlicher und der Auftragnehmer Auftragsverarbeiter. Dieser Auftragsverarbeitungsvertrag ("AVV") regelt die sich daraus ergebenden datenschutzrechtlichen Pflichten wie folgt:

1. Verarbeitung personenbezogener Daten

1.1 Der Auftraggeber bezieht COD oder Leistungen zu COD entweder unmittelbar vom Auftragnehmer aufgrund eines Auftrags nach §2a der Allgemeinen Geschäftsbedingungen des Auftragnehmers oder über einen Partner des Auftragnehmers (nachstehend "Partner") aufgrund des Vertrags zwischen dem Auftraggeber und dem Partner, einschließlich des Auftrags, in dem die Betriebsart und die bezogenen Leistungen genannt sind. Der jeweilige Vertrag mit dem zugehörigen Auftrag ist der "Referenzvertrag". Der Referenzvertrag nennt diesen AVV mit Version, Stand und der Adresse, unter der er abrufbar ist.

1.2 Bezieht der Auftraggeber COD über einen Partner, ist der Auftragnehmer nicht Partei des Referenzvertrags. Dieser AVV beschreibt dann allein die Verarbeitung personenbezogener Daten. Er begründet keine Pflicht des Auftragnehmers gegenüber dem Auftraggeber zu Lieferung, Leistung, Laufzeit oder Vergütung. Diese Pflichten bestehen ausschließlich zwischen dem Auftraggeber und dem Partner. Der Auftragnehmer verwendet die aus diesem AVV erlangten Kontaktdaten des Auftraggebers nicht für Werbung und nicht für eigene Angebote.

1.3 Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten des Auftraggebers (nachstehend "Daten") durch den Auftragnehmer beim Betrieb einer Instanz nach Ziffer 1.1, bei einer Teststellung und beim Fernzugriff auf eine Instanz des Auftraggebers, in dem dafür erforderlichen Umfang.

1.4 Die Art und den Zweck der Verarbeitung, die Art der Daten und die Kategorien der betroffenen Personen legt Anlage A1 zu diesem AVV ("AVV Leistungsbeschreibung") für jede Leistungsart fest. Welche Leistungsarten der Auftraggeber bezieht, ergibt sich aus dem Referenzvertrag. Für die übrigen Leistungsarten gilt Anlage A1 nicht. Ergänzend gilt die Anlage A als Besondere Vertragsbedingungen für Datenverarbeitung im Auftrag ("BVB AVV"), die diesem AVV beigefügt ist. Die BVB AVV sind die Standardvertragsklauseln der Europäischen Kommission nach Artikel 28 Absatz 7 DSGVO (Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021). Die vereinbarte Liste der Unterauftragsverarbeiter nach Klausel 7.7 der BVB AVV steht in Anlage A2 ("Liste der Unterauftragsverarbeiter"). Die durch den Auftragnehmer ergriffenen technischen und organisatorischen Maßnahmen (TOMs) beschreibt Anlage A3 ("TOM"), gegliedert nach Artikel 32 DSGVO mit Bezug auf die Maßnahmen der ISO/IEC 27002:2022.

1.5 Die Rechte und Pflichten der Parteien nach Artikel 28 Absatz 3 und 4 DSGVO regelt die BVB AVV, und zwar insbesondere: die Verarbeitung nur auf dokumentierte Weisung, auch für Übermittlungen in Drittländer (Klauseln 7.1 und 7.8), die Vertraulichkeit der befugten Personen (Klausel 7.4 Buchstabe b), die Sicherheit der Verarbeitung nach Artikel 32 DSGVO (Klausel 7.4 Buchstabe a mit Anhang III), den Einsatz von Unterauftragsverarbeitern (Klausel 7.7), die Unterstützung bei Anträgen betroffener Personen und bei den Pflichten nach Artikel 32 bis 36 DSGVO (Klauseln 8 und 9), die Löschung oder Rückgabe der Daten nach Ende der Verarbeitung (Klausel 10 Buchstabe d) sowie Nachweise, Überprüfungen und den Hinweis auf rechtswidrige Weisungen (Klauseln 7.6 und 7.1 Buchstabe b).

2. Abschluss und Vertragsdauer

2.1 Dieser AVV kommt zwischen dem Auftraggeber und dem Auftragnehmer zustande, wenn der Auftraggeber den Referenzvertrag annimmt, der diesen AVV nach Ziffer 1.1 nennt, und der Auftragnehmer die Instanz bereitstellt oder die Leistung aufnimmt. Es gilt die Fassung dieses AVV, die zum Zeitpunkt der Annahme veröffentlicht ist, und danach jede neue Fassung nach Ziffer 4.4 und Ziffer 4.5. Bezieht der Auftraggeber COD über einen Partner, übermittelt der Partner dem Auftragnehmer die dazu nötigen Erklärungen und Angaben aus dem Auftrag. Er wird dadurch nicht Partei dieses AVV. Einer Unterschrift bedarf es nicht. Die Vereinbarung liegt damit in elektronischem Format im Sinne von Artikel 28 Absatz 9 DSGVO vor. Auf Wunsch des Auftraggebers unterzeichnen die Parteien die jeweils geltende Fassung zusätzlich ohne inhaltliche Abweichung.

2.2 Der Auftragnehmer hält zu jeder Instanz und zu jedem Fernzugriffsauftrag fest, welche Fassung dieses AVV bei der Bereitstellung oder Aufnahme der Leistung galt, mit Version, Stand und Prüfsumme, und auf welchen Auftrag des Auftraggebers oder des Partners und welche Auftragszeile darin die Leistung zurückgeht. Ebenso hält er jede spätere Fassung nach Ziffer 4.4 mit dem Tag ihrer Veröffentlichung und ihres Wirksamwerdens fest. Auf Verlangen stellt er dem Auftraggeber diese Angaben und die für ihn geltende Fassung in Textform bereit.

2.3 Dieser AVV gilt, solange der Auftragnehmer für den Auftraggeber eine Instanz nach Ziffer 1.1 betreibt oder Daten des Auftraggebers verarbeitet, und endet ohne Kündigung mit dem Abschluss der Herausgabe und Löschung nach Ziffer 2.6.

2.4 Eine ordentliche Kündigung dieses AVV ist ausgeschlossen, solange der Auftragnehmer die Instanz nach Ziffer 1.1 betreibt oder Leistungen nach dem Referenzvertrag erbringt. Der Betrieb endet mit der Beendigung des Referenzvertrags, soweit er COD in dieser Betriebsart oder die jeweilige Leistung betrifft.

2.5 Das Recht jeder Partei, fristlos aus wichtigem Grund zu kündigen, bleibt unberührt.

2.6 Mit dem Ende dieses AVV stellt der Auftragnehmer die Verarbeitung der Daten ein. Er gibt die Daten nach Wahl des Auftraggebers heraus oder löscht sie, nach Klausel 10 Buchstabe d der BVB AVV. Wie die Daten herausgegeben werden und in welcher Frist, richtet sich nach der Leistungsbeschreibung COD, die dem Referenzvertrag zugrunde liegt. Beim Fernzugriff auf Instanzen des Auftraggebers hält der Auftragnehmer keine Daten des Auftraggebers über den Abschluss des jeweiligen Vorgangs hinaus (Anlage A3, Abschnitt 2.3).

3. Haftung

3.1 Die Haftung des Auftragnehmers gegenüber dem Auftraggeber aus diesem AVV und seinen Anlagen ist für alle Schadensfälle eines Vertragsjahres zusammen auf die Hälfte der Vergütung begrenzt, die dem Auftragnehmer für die Leistung nach Ziffer 1.1 in den zwölf Monaten vor dem schadensbegründenden Ereignis tatsächlich zugeflossen ist, unmittelbar vom Auftraggeber oder über den Partner. Sie übersteigt in keinem Fall die Vergütung, die dem Auftragnehmer für diese Leistung insgesamt tatsächlich zugeflossen ist.

3.2 Für mittelbare Schäden, Folgeschäden und entgangenen Gewinn haftet der Auftragnehmer bei leichter Fahrlässigkeit nicht.

3.3 Ziffer 3.1 und Ziffer 3.2 gelten nicht bei Vorsatz und grober Fahrlässigkeit, bei der Verletzung des Lebens, des Körpers oder der Gesundheit und für die Haftung nach dem Produkthaftungsgesetz. Ansprüche betroffener Personen nach Artikel 82 DSGVO bleiben unberührt. Für den Ausgleich zwischen den Parteien nach Artikel 82 Absatz 5 DSGVO gilt Ziffer 3.1.

3.4 Die Angaben in diesem AVV und seinen Anlagen beschreiben die Pflichten des Auftragnehmers. Eine Garantie übernimmt der Auftragnehmer damit nicht.

4. Anlagen, Änderungen, Schlussbestimmungen

4.1 Dieser AVV ersetzt einen zwischen den Parteien bestehenden AVV mit demselben Vertragsgegenstand.

4.2 Die anliegende AVV Leistungsbeschreibung (Anlage A1), die BVB AVV (Anlage A), die Liste der Unterauftragsverarbeiter (Anlage A2) und die TOM (Anlage A3) in ihrer jeweils geltenden Fassung sind integraler Bestandteil dieses Vertrages. Der Auftragnehmer veröffentlicht diesen AVV mit allen Anlagen als ein Dokument. Der Auftraggeber kann es vollständig herunterladen und ablegen, ohne etwas auszufüllen. Die Angaben, die nur ihn betreffen, stehen im Referenzvertrag.

4.3 Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragnehmer darf sie ohne Zustimmung des Auftraggebers anpassen, wenn das Schutzniveau nach Art. 32 DSGVO dabei nicht unterschritten wird (Art. 28 Abs. 3 Satz 2 lit. c DSGVO). Er dokumentiert wesentliche Änderungen und veröffentlicht die geltende Fassung der Anlage A3 nach Ziffer 4.5. Änderungen der Liste der Unterauftragsverarbeiter richten sich nach Klausel 7.7 der BVB AVV. Der Zeitraum nach Klausel 7.7 Buchstabe a der BVB AVV beträgt vier Wochen. Die Unterrichtung geht in Textform an den Kontakt, den der Auftraggeber nach Anlage A1 Abschnitt 1 mitgeteilt hat. Hat er keinen mitgeteilt, genügt die Unterrichtung in Textform über den Partner. Für alle übrigen einseitigen Änderungen dieses AVV und der AVV Leistungsbeschreibung (Anlage A1) gelten Ziffer 4.4 und Ziffer 4.5. Einvernehmliche Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

4.4 Der Auftragnehmer kann diesen AVV und die AVV Leistungsbeschreibung (Anlage A1) mit Wirkung für die Zukunft durch eine neue Fassung ersetzen. Das gilt auch für eine unterzeichnete Fassung nach Ziffer 2.1. Zulässig ist das nur aus einem der folgenden Gründe:

a) eine Änderung des anwendbaren Rechts oder seiner Auslegung durch die Rechtsprechung,

b) eine Anordnung oder Vorgabe einer Aufsichtsbehörde oder des Europäischen Datenschutzausschusses,

c) die Sicherheit der Verarbeitung,

d) der Wechsel oder die Hinzuziehung eines Unterauftragsverarbeiters nach Klausel 7.7 der BVB AVV, soweit dafür dieser AVV oder Anlage A1 anzupassen ist,

e) eine Änderung des Leistungsumfangs von COD oder des Leistungsangebots des Auftragnehmers nach Ziffer 1.1.

Diese Aufzählung ist abschließend. Die neue Fassung darf das Schutzniveau nach Art. 32 DSGVO nicht unterschreiten. Sie darf die Rechte des Auftraggebers als Verantwortlicher nach Art. 28 DSGVO und nach der BVB AVV nicht einschränken und das Verhältnis der Rechte und Pflichten der Parteien nicht zu seinen Lasten verschieben. Das gilt nicht, soweit eine Vorschrift oder Anordnung nach Buchstabe a oder b die Änderung verlangt.

4.5 Der Auftragnehmer veröffentlicht die jeweils geltende Fassung dieses AVV und seiner Anlagen mit Version und Stand unter einer festen Adresse auf seiner Website. Frühere Fassungen bleiben dort abrufbar. Jede neue Fassung nennt die geänderten Stellen. Eine neue Fassung nach Ziffer 4.4 wird mit ihrer Veröffentlichung wirksam, wenn sie keinen späteren Zeitpunkt nennt. Einer gesonderten Mitteilung an den Auftraggeber bedarf es nicht. Die Unterrichtung über Änderungen der Liste der Unterauftragsverarbeiter nach Ziffer 4.3 bleibt unberührt. Eine Änderung mit Rückwirkung ist ausgeschlossen.

4.6 Sollten einzelne Bestimmungen rechtsunwirksam sein oder werden, berührt dies nicht die Wirksamkeit dieses Vertrages. Die unwirksame Bestimmung ist von den Parteien durch eine wirksame Bestimmung zu ersetzen, die dem mit der unwirksamen Bestimmung verfolgten wirtschaftlichen Zweck am nächsten kommt. Entsprechendes gilt für den Fall, dass die Regelungen dieses AVV eine von den Parteien nicht beabsichtigte Lücke aufweisen.

4.7 Dieser AVV unterliegt deutschem Recht unter Ausschluss des UN-Kaufrechtsabkommens (CISG).

4.8 Ausschließlicher Gerichtsstand für sämtliche Streitigkeiten aus diesem oder über diesen Vertrag ist der Sitz des Auftragnehmers, wenn der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Anlage A1: AVV Leistungsbeschreibung

Version 1.0, Stand 02.11.2026. Diese Anlage gilt für jeden Auftraggeber gleich. Sie enthält keine Angaben, die je Auftraggeber auszufüllen sind. Sie beschreibt alle Leistungsarten des Auftragnehmers, bei denen personenbezogene Daten im Auftrag verarbeitet werden. Für den einzelnen Auftraggeber gelten die Abschnitte zu den Leistungsarten, die der Referenzvertrag nennt.

1. Parteien

Verantwortlicher / Datenexporteur: der Auftraggeber nach dem AVV. Firma und Anschrift ergeben sich aus dem Referenzvertrag. Den Kontakt seines Datenschutzbeauftragten oder einer Kontaktperson für Datenschutzfragen und die für ihn zuständige Aufsichtsbehörde nennt der Auftraggeber im Referenzvertrag oder teilt sie dem Auftragnehmer bei der Bereitstellung in Textform mit, auf Wunsch über den Partner.

Auftragsverarbeiter / Datenimporteur: extocode GmbH, Kotzinger Str. 21, 83278 Traunstein. Kontaktstelle für Datenschutzfragen: extocode GmbH, z. Hd. Datenschutz, datenschutz@extocode.com. Ein Datenschutzbeauftragter ist nicht benannt, weil keine Pflicht zur Benennung besteht. Weisungen können an diese Kontaktstelle und an die im AVV genannte Anschrift erteilt werden. Zuständige Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht, Postfach 1349, 91504 Ansbach.

2. Leistungen des Auftragsverarbeiters

Der Auftragsverarbeiter erbringt für den Verantwortlichen je nach Referenzvertrag eine oder mehrere der folgenden Leistungen:

Leistungsart	Verarbeitung personenbezogener Daten im Auftrag
Shared Hosted	Eine vom Auftragsverarbeiter betriebene Instanz des Central Operations Dashboard (COD), die mehrere Accounts oder Tenants gemeinsam nutzen. Die Tenants sind logisch und in den Zugriffsrechten getrennt. Der Auftragsverarbeiter betreibt Hardware, Betriebssystem, Datenbanken und Anwendung, spielt Aktualisierungen ein und sichert die Datenbanken und die zum Betrieb gehörenden Konfigurationsdateien der Instanz.
Private Hosted	Eine vom Auftragsverarbeiter betriebene, für einen Account dedizierte Instanz. Komponenten, die im Netz des Verantwortlichen stehen müssen (etwa Proxy oder Sprungserver, NAC-Komponente, Monitoringsystem), betreibt der Verantwortliche selbst. Für sie ist der Auftragsverarbeiter nicht Auftragsverarbeiter. Betrieb und Sicherung wie bei Shared Hosted.
Teststellung (Proof of Concept)	Zeitlich befristeter Betrieb einer Instanz in einer der beiden Betriebsarten zur Erprobung. Der Verantwortliche bringt nach Möglichkeit nur Testdaten ein. Bringt er Echtdaten ein, gilt diese Anlage wie beim Dauerbetrieb. Mit dem Ende der Teststellung löscht der Auftragsverarbeiter die Instanz nach Ziffer 2.6 des AVV.
Pflege, Support, Projekt- und Betriebsleistungen zu Self Hosted	Fernzugriff auf eine Instanz, die der Verantwortliche oder ein Dritter für ihn betreibt, zur Fehleranalyse, Fehlerbehebung, Aktualisierung, Einrichtung, Konfiguration, Integration und Überwachung, nur auf dokumentierte Weisung. Die Verarbeitung findet in der Instanz des Verantwortlichen statt. Der Auftragsverarbeiter hält keine Daten des Verantwortlichen über den Abschluss des Vorgangs hinaus, ausgenommen Protokollauszüge und Fehlerbilder im Ticket, die nach Abschluss gelöscht werden.
Rückmeldeweg der Anwendung	Meldungen, die ein Nutzer bewusst über den Rückmeldeweg der Anwendung an den Hersteller absendet (Benutzername, Mandant, Standort, Modul, Text, angehängte Bildschirmfotos), verarbeitet der Auftragsverarbeiter in seinem Ticketsystem und in seinen Postfächern (Anlage A2, Nr. 2).

Nicht Gegenstand sind die Sicherungsstände, die der Verantwortliche mit dem Modul Backup selbst erzeugt, Schulung und Beratung ohne Zugriff auf Systeme des Verantwortlichen und jede Leistung, die der Verantwortliche bei einem Partner gesondert bezieht (Onboarding, Integration, Customizing, Migration durch den Partner).

3. Zweck der Verarbeitung

Bereitstellung und Betrieb von COD zur Verwaltung und Absicherung der IT-Infrastruktur des Verantwortlichen, einschließlich Datensicherung, Wiederherstellung, Fehlerbehebung und Support zur Instanz, sowie Pflege, Support, Projekt- und Betriebsleistungen zu einer Instanz des Verantwortlichen.

4. Betroffene Personen

• Beschäftigte und Beauftragte des Verantwortlichen, die COD benutzen (Benutzerkonten),
• Personen, deren Daten der Verantwortliche in COD verwaltet, etwa Nutzer von Endgeräten im Netz, Gäste am Gastzugang, Ansprechpartner in Dokumenten des Moduls GRC,
• Mandanten des Verantwortlichen und deren Beschäftigte, wenn der Verantwortliche COD für eigene Dienstleistungen einsetzt und seine Auftraggeber als Tenants führt,
• weitere Personen, deren Daten der Verantwortliche selbst in COD einbringt.

5. Art der Daten

• Stammdaten und Kontaktdaten der Benutzer (Name, Benutzername, Mailadresse, Rolle, Standort),
• Anmelde- und Sicherheitsdaten (zweiter Faktor, Sitzungen, letzter Anmeldezeitpunkt, Sperrvermerke, Protokolle der Anwendung),
• Daten zur Sicherheit von IT-Systemen: MAC- und IP-Adressen, Zuordnung von Geräten zu Personen, Zertifikate, Accounting-Daten von TACACS+ und RADIUS, Sitzungen und Gutscheine des Gastzugangs,
• Inhalte, die der Verantwortliche selbst einbringt, etwa Dokumente, Vorgänge, Sicherheitsvorfälle und Rollen im Modul GRC, Einträge im Passworttresor (dort nur als Chiffrat, der Auftragsverarbeiter kann sie nicht lesen),
• beim Fernzugriff auf Instanzen des Verantwortlichen zusätzlich die Daten, die dort gespeichert sind, soweit sie bei der Fehlersuche sichtbar werden.

Besondere Kategorien nach Artikel 9 DSGVO sind nicht vorgesehen. Bringt der Verantwortliche sie ein, teilt er das vorher in Textform mit. Dann gilt Klausel 7.5 BVB AVV. Unterliegt der Verantwortliche einer Schweigepflicht nach § 203 StGB, verpflichtet der Auftragsverarbeiter die eingesetzten Personen nach § 203 Absatz 4 StGB zur Geheimhaltung.

6. Häufigkeit, Art und Dauer

Kontinuierlich für die Dauer des Betriebs, beim Fernzugriff je Vorgang. Art der Verarbeitung: Speichern, Auslesen, Abfragen, Verwenden, Sichern, Wiederherstellen und Löschen im Rahmen des Betriebs und der beauftragten Leistung. Sicherung bei Shared Hosted und Private Hosted einmal in je 24 Stunden, Aufbewahrung 90 Tage (die letzten 30 Tage täglich, davor wöchentlich). Nach dem Ende des Betriebs gilt Ziffer 2.6 des AVV. Sicherungen laufen innerhalb der Aufbewahrungsfrist aus.

7. Gebiet der Verarbeitung

Die Instanzen und ihre Sicherungen werden ausschließlich in der Bundesrepublik Deutschland betrieben, auf Infrastruktur der inducio GmbH in deren Rechenzentren in München und Traunstein (Anlage A2, Nr. 1). Der Fernzugriff auf Instanzen des Verantwortlichen erfolgt von Arbeitsplätzen des Auftragsverarbeiters in Deutschland aus. Meldungen, die über den Rückmeldeweg der Anwendung per Mail eingehen, verarbeitet der Unterauftragsverarbeiter nach Anlage A2, Nr. 2. Eine Übermittlung in ein Drittland findet nur nach Kapitel V DSGVO statt und wird in Anlage A2 ausgewiesen.

Anlage A2: Liste der Unterauftragsverarbeiter

Version 1.0, Stand 02.11.2026, auf Grundlage des Entwurfs 0.3 vom 27.10.2026. Diese Liste ist die vereinbarte Liste nach Klausel 7.7 der BVB AVV. Änderungen richten sich nach Ziffer 4.3 der Vereinbarung: Der Auftragsverarbeiter unterrichtet den Auftraggeber mindestens vier Wochen vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters in Textform. Die jeweils geltende Fassung dieser Liste ist nach Ziffer 4.5 der Vereinbarung veröffentlicht.

Nr.	Firma und Sitz	Leistung	Ort der Verarbeitung	Drittland und Garantie
1	inducio GmbH, Kotzinger Str. 21, 83278 Traunstein, Deutschland	Bereitstellung von Rechenleistung, Arbeitsspeicher und Speicher (IaaS) für die Instanzen und Datensicherung der Instanzen (BaaS)	Deutschland, Rechenzentren der inducio in München und Traunstein	keine Übermittlung in ein Drittland
2	Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland	Postfächer der extocode (Microsoft 365), nur für Meldungen, die über den Rückmeldeweg der Anwendung per Mail eingehen, und für Tickets zum Fernzugriff	Europäische Union	Übermittlung an Microsoft Corporation, USA, im Einzelfall möglich. Garantie: Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), daneben Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)

Nicht in der Liste, mit Grund

• Betreiber der Rechenzentren: Sie vermieten der inducio GmbH nur Fläche mit Zutrittsschutz, Strom und Klimatisierung und haben keinen logischen Zugriff auf Daten. Sie verarbeiten keine Daten des Auftraggebers.
• Versand von Benachrichtigungen der Anwendung: COD verschickt Mails über einen Mailserver je Standort, den der Auftraggeber selbst einträgt. Die extocode betreibt dafür kein Mailrelay.
• Lieferant des Schwachstellendatenbestands für COD-VAS: Die Instanz bezieht den Datenbestand nur. Daten des Auftraggebers gehen dabei nicht an den Lieferanten.
• Hersteller von Hard- und Software (Server, Virtualisierung, Firewall): keine Verarbeitung im Auftrag.
• Partner des Auftragnehmers, über den der Auftraggeber COD bezieht: Der Partner ist eigener Vertragspartner des Auftraggebers und kein Unterauftragsverarbeiter des Auftragnehmers. Greift der Partner selbst auf Daten zu, schließt der Auftraggeber mit ihm eine eigene Vereinbarung zur Auftragsverarbeitung.

Anlage A3: Technische und organisatorische Maßnahmen (TOM)

Version 1.0, Stand 02.11.2026, auf Grundlage des Entwurfs 0.5 vom 27.10.2026 (Aufgabe 6456), erweitert um den Fernzugriff auf Instanzen des Verantwortlichen.

Präambel. Dieses Dokument beschreibt die technischen und organisatorischen Maßnahmen (TOM) der extocode GmbH, Kotzinger Str. 21, 83278 Traunstein, nach Artikel 32 DSGVO. Es gilt für alle Leistungen, bei denen die extocode personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet: den Betrieb des Central Operations Dashboard (COD) in den Betriebsarten Shared Hosted und Private Hosted, Teststellungen in diesen Betriebsarten und den Fernzugriff auf Instanzen, die der Verantwortliche oder ein Dritter für ihn betreibt (Self Hosted), bei Pflege, Support, Projekt- und Betriebsleistungen. Es ist Anlage A3 zur Vereinbarung zur Auftragsverarbeitung der extocode GmbH.

Die Gliederung folgt Artikel 32 Absatz 1 DSGVO. Die Nummern "TOM x.y" verweisen auf die Maßnahmen der ISO/IEC 27002:2022.

Überprüfung. Die Maßnahmen werden mindestens einmal jährlich und anlassbezogen überprüft, etwa bei einer neuen Version von COD, einem neuen Unterauftragsverarbeiter oder einer geänderten Bedrohungslage. Die jeweils geltende Fassung veröffentlicht die extocode nach Ziffer 4.3 und Ziffer 4.5 der Vereinbarung.

1. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a)

TOM 8.24, Verschlüsselung gespeicherter Geheimnisse. Zugangsdaten zu Netzwerkgeräten, API-Geheimnis und SSH-Passwort von Firewalls, Zugangsschlüssel zur CMDB, Token des Ticketsystems, Passwort des Dienstkontos für den Abgleich mit dem Active Directory und Lizenzschlüssel speichert COD verschlüsselt (AES-256-GCM).

TOM 8.24, Ende-zu-Ende-Verschlüsselung des Passworttresors. Der Tresor "Stronghold" verschlüsselt auf dem Gerät des Nutzers. Der Server speichert nur Chiffrat. Verfahren: Argon2id zur Schlüsselableitung, X25519-Sealed-Box zum Kapseln der Schlüssel, AES-GCM für die Einträge. Beim Entzug eines Zugriffs werden die Schlüssel der verbleibenden Mitglieder erneuert. Die extocode kann Tresorinhalte nicht lesen.

TOM 8.24, Transportverschlüsselung. Der Zugriff auf die Instanz erfolgt ausschließlich verschlüsselt über HTTPS mit einem aktuellen TLS-Verfahren am Reverse-Proxy. Der Fernzugriff der extocode auf Instanzen des Verantwortlichen erfolgt nur über verschlüsselte Verbindungen (VPN, SSH oder HTTPS), die der Verantwortliche bereitstellt oder freigibt.

TOM 8.24, Schutz der Datenträger und der Sicherungen. Datenträger und Sicherungsstände sind gegen unbefugten Zugriff geschützt. Sie sind nur dem berechtigten Betriebspersonal zugänglich.

TOM 8.11, Pseudonymisierung. Eine Pseudonymisierung der vom Verantwortlichen eingebrachten Daten findet nicht statt. Sie ist für den Betrieb einer Verwaltungsplattform nicht vorgesehen. Rückmeldungen an den Hersteller enthalten nur die Angaben, die der Nutzer selbst absendet (siehe 2.6).

2. Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b)

2.1 Zutrittskontrolle (physisch)

TOM 7.1 bis 7.5, Rechenzentrum. Die Instanzen laufen auf Infrastruktur, die die inducio GmbH als Unterauftragsverarbeiter bereitstellt (Anlage A2, Nr. 1). Für Zutritt, Brandschutz, Stromversorgung und Klimatisierung gelten die Maßnahmen der inducio GmbH und ihrer Rechenzentren, veröffentlicht unter https://inducio-services.net/toms.

TOM 7.7, Arbeitsplätze der extocode. Büroarbeitsplätze befinden sich am Sitz in Traunstein. Die Räume sind gegen Zutritt Unbefugter gesichert. Bildschirme werden beim Verlassen des Arbeitsplatzes gesperrt. Ausdrucke mit Daten des Verantwortlichen werden vermieden und sonst sicher verwahrt und vernichtet.

2.2 Zugangskontrolle (Systeme)

TOM 8.5, Sichere Anmeldung an COD. Die Anmeldung an COD ist mit einem zweiten Faktor möglich (zeitbasierte Einmalkennwörter, Wiederherstellungscodes). Benutzer werden lokal geführt oder über LDAP bzw. Active Directory angebunden. Ob der zweite Faktor für die Konten des Verantwortlichen verpflichtend ist, legt der Verantwortliche fest.

TOM 5.18, Lebenszyklus der Konten. Ein Konto kann mit Begründung gesperrt statt gelöscht werden. Die Sperre beendet alle laufenden Sitzungen sofort. Sperren und Entsperren werden protokolliert. Je Standort ist ein nächtlicher Abgleich gegen eine Gruppe des Active Directory möglich, der Konten ohne Mitgliedschaft sperrt.

TOM 8.2, Privilegierter Zugang der extocode. Administrativen Zugang zu Servern, Betriebssystemen und Datenbanken der Hosted-Instanzen haben nur berechtigte Beschäftigte der extocode, soweit sie ihn für den Betrieb brauchen. Der Zugang erfolgt über verschlüsselte Verbindungen mit persönlicher Anmeldung und zweitem Faktor.

TOM 8.2 und 5.15, Fernzugriff auf Instanzen des Verantwortlichen (Self Hosted). Auf eine Instanz, die der Verantwortliche oder ein Dritter für ihn betreibt, greift die extocode nur auf dokumentierte Weisung des Verantwortlichen zu, in der Regel auf eine Meldung im Ticketsystem oder eine Beauftragung im Projekt. Der Zugang erfolgt über ein vom Verantwortlichen eingerichtetes, persönlich zugeordnetes Konto mit den für die Aufgabe nötigen Rechten und über den vom Verantwortlichen bereitgestellten Verbindungsweg. Der Verantwortliche kann den Zugang jederzeit sperren. Nach Abschluss der Aufgabe beendet die extocode die Sitzung. Dauerhafte Zugänge bestehen nur, wenn der Verantwortliche sie für Pflege- oder Betriebsleistungen im Auftrag ausdrücklich einrichtet.

2.3 Zugriffskontrolle und Trennung

TOM 8.3, Rechte je Rolle und Standort. Rechte werden rollenbasiert je Standort vergeben. Listen, Suchen und Lesezugriffe sind auf den Standort begrenzt, eine Abfrage über Standortgrenzen schlägt fehl. Das Verschieben eines Assets über Mandantengrenzen ist der Rolle SuperAdmin vorbehalten und wird protokolliert.

TOM 8.22, Trennung der Mandanten. Bei Shared Hosted sind die Tenants logisch und in den Zugriffsrechten getrennt. Bei Private Hosted betreibt die extocode eine eigene Instanz je Account. Im Modul Monitoring wirkt die Trennung über Host-Gruppen des angebundenen Systems. Fehlt die Zuordnung, wirkt kein Filter. Die Zuordnung pflegt der Verantwortliche.

TOM 8.20 und 8.21, Ein Einstiegspunkt. Von außen ist nur der Reverse-Proxy erreichbar. Backend, Datenbanken und Automatisierungsdienste hängen nicht direkt am Netz. Dienste für Geräteaktionen und Virtualisierung sind nur über die lokale Schleife des Servers ansprechbar.

TOM 8.20, Firewall vor der Instanz. Die Hosted-Umgebung ist durch eine Firewall vom Internet getrennt. Freigegeben sind nur die für den Betrieb nötigen Verbindungen.

TOM 8.3 und 5.10, Keine Kopien beim Fernzugriff. Beim Fernzugriff auf Instanzen des Verantwortlichen kopiert die extocode Daten des Verantwortlichen nicht auf eigene Systeme. Ausgenommen sind Protokollauszüge und Fehlerbilder, die zur Fehlersuche nötig sind. Sie werden im Ticket des Vorgangs abgelegt und nach Abschluss der Fehlersuche gelöscht, spätestens mit dem Schließen des Tickets.

2.4 Weitergabekontrolle

TOM 5.14, Ausgabe von Daten. Berichte werden über einen zentralen Ausgabeweg als PDF erzeugt. Im Modul GRC tragen sie eine Kennzeichnung nach dem Traffic Light Protocol und einen Hashwert. Schnittstellenschlüssel des Moduls GRC gelten je Standort, haben einstellbare Rechte und ein optionales Ablaufdatum und werden protokolliert.

TOM 5.14, Herausgabe am Vertragsende. Die Herausgabe der Daten richtet sich nach der Leistungsbeschreibung COD. Danach werden die Daten gelöscht (Ziffer 2.6 der Vereinbarung, Klausel 10 d der BVB AVV).

2.5 Eingabekontrolle und Protokollierung

TOM 8.15, Protokolle der Anwendung. Das Prüfprotokoll des Moduls GRC ist nur anhängend beschreibbar und per Datenbank-Trigger gegen Änderung und Löschung geschützt. Der Tresor führt ein über eine HMAC-Kette gesichertes Protokoll. Sperren von Konten, Verschieben über Mandantengrenzen und Schnittstellenschlüssel werden protokolliert. Ein Prüfprotokoll über alle Module der Anwendung besteht nicht.

TOM 8.15 und 8.16, Protokolle von Betriebssystem und Proxy. Server und Reverse-Proxy führen Protokolle über Zugriffe und Fehler. Sie werden nur so lange aufbewahrt, wie es für Betrieb, Fehlersuche und Sicherheit nötig ist, und sind nur dem berechtigten Betriebspersonal zugänglich.

TOM 8.15, Protokollierung des Fernzugriffs. Jeder Fernzugriff auf eine Instanz des Verantwortlichen wird im Ticket des Vorgangs mit Datum, Uhrzeit, Person und Anlass festgehalten. Die Protokolle der Instanz selbst führt der Verantwortliche.

2.6 Auftragskontrolle

TOM 5.19 bis 5.22, Unterauftragsverarbeiter. Die extocode setzt nur die in Anlage A2 genannten Unterauftragsverarbeiter ein. Änderungen richten sich nach Ziffer 4.3 der Vereinbarung und Klausel 7.7 der BVB AVV.

TOM 5.34, Weisungsbindung. Die extocode verarbeitet die Daten des Verantwortlichen nur zum Betrieb der Instanz und zur Erbringung der beauftragten Leistungen. Sie verwendet Kontaktdaten aus der Vereinbarung nicht für Werbung. Meldungen über den Rückmeldeweg der Anwendung enthalten Benutzername, Mandant, Standort, Modul, Text und angehängte Bildschirmfotos, und nur die, die ein Nutzer bewusst absendet.

2.7 Verfügbarkeit und Belastbarkeit

TOM 8.13, Datensicherung. Die extocode sichert die Datenbanken der Instanz und die zum Betrieb gehörenden Konfigurationsdateien einmal in je 24 Stunden. Aufbewahrung 90 Tage, die letzten 30 Tage als Tagesstände, davor ein Stand je Kalenderwoche. Die Sicherungen liegen getrennt vom Produktivsystem. Nicht gesichert werden die Sicherungsstände, die der Verantwortliche mit dem Modul Backup selbst erzeugt. Bei Self Hosted sichert der Verantwortliche selbst.

TOM 8.14, Verfügbarkeit. Die Verfügbarkeit der Instanz richtet sich nach dem Vertrag, über den der Verantwortliche COD bezieht. Eine Zusage zur Verfügbarkeit gibt die extocode mit dieser Anlage nicht.

TOM 8.8 und 8.19, Aktualisierungen. Bei Shared Hosted und Private Hosted spielt die extocode die Aktualisierungen von COD selbst ein. Sicherheitsaktualisierungen erhält die jeweils aktuelle Nebenversion der Reihe 3.x. Betriebssystem und Datenbank werden regelmäßig aktualisiert, bei kritischen Schwachstellen vorrangig. Bei Self Hosted stellt die extocode die Aktualisierungen bereit, das Einspielen obliegt dem Verantwortlichen, soweit er es nicht als Pflegeleistung beauftragt hat.

TOM 8.7, Schutz gegen Schadsoftware. Die Server der Hosted-Umgebung und die Arbeitsplätze der extocode sind nach dem Stand der Technik gegen Schadsoftware geschützt.

TOM 8.6, Überwachung des Betriebs. Erreichbarkeit, Last und Speicher der Hosted-Instanzen werden überwacht.

3. Wiederherstellung nach einem Zwischenfall (Art. 32 Abs. 1 lit. c)

TOM 5.29 und 5.30, Wiederherstellung. Die extocode stellt einen Datenbestand aus einer Sicherung als Zielwert innerhalb von zwei Arbeitstagen je Tenant wieder her. Das ist keine Zusage. Bei mehreren Tenants verlängert sich der Zielwert je weiterem Tenant um einen Arbeitstag, höchstens auf zehn Arbeitstage. Eine Rufbereitschaft rund um die Uhr besteht nicht. Die Wiederherstellung aus Sicherungen wird regelmäßig erprobt.

TOM 5.24 bis 5.26, Verletzungen des Schutzes personenbezogener Daten. Die extocode bewertet einen Vorfall unverzüglich und meldet eine Verletzung, die Daten des Verantwortlichen betrifft, dem Verantwortlichen nach Klausel 9 der BVB AVV.

4. Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d)

TOM 5.35 und 5.36, Überprüfung der Maßnahmen. Die extocode überprüft die Wirksamkeit dieser Maßnahmen regelmäßig und anlassbezogen und passt sie an (siehe Präambel).

TOM 5.2 und 5.34, Rollen. Die Geschäftsführung der extocode ist für den Datenschutz verantwortlich. Anfragen zum Datenschutz gehen an die Kontaktstelle "extocode GmbH, z. Hd. Datenschutz", datenschutz@extocode.com. Ein Datenschutzbeauftragter ist nicht benannt, weil keine Pflicht zur Benennung besteht.

TOM 6.1 bis 6.6, Personal. Die Beschäftigten der extocode sind auf Vertraulichkeit und Datenschutz verpflichtet und werden dazu unterwiesen. Beim Austritt werden Zugänge entzogen und Arbeitsmittel zurückgegeben. Unterliegt der Verantwortliche einer Schweigepflicht nach § 203 StGB, werden die eingesetzten Personen nach § 203 Absatz 4 StGB zur Geheimhaltung verpflichtet.

TOM 8.25 bis 8.29, Sichere Entwicklung. COD wird von der extocode entwickelt. Funktionstrennung bei Freigaben im Modul GRC wird erzwungen, Ausnahmen nur als protokollierter Eingriff eines Administrators. Änderungen am Code werden vor einer Freigabe geprüft und getestet. Echte Daten eines Verantwortlichen werden in Entwicklung und Test nicht verwendet.

Anlage A: Besondere Vertragsbestimmungen Auftragsverarbeitung (BVB AVV)

Version 1.1, Stand 10/2026. Standardvertragsklauseln der Europäischen Kommission nach Artikel 28 Absatz 7 DSGVO (Durchführungsbeschluss (EU) 2021/915). Die Klauseln sind unverändert übernommen, Anhang I bis III sind am Ende zugeordnet.

ANHANG des Durchführungsbeschlusses der Kommission über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern gemäß Artikel 28 Absatz 7 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates und Artikel 29 Absatz 7 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates

ABSCHNITT I

Klausel 1 Zweck und Anwendungsbereich

a) Mit diesen Standardvertragsklauseln (im Folgenden "Klauseln") soll die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG sichergestellt werden.

b) Die in Anhang I aufgeführten Verantwortlichen und Auftragsverarbeiter haben diesen Klauseln zugestimmt, um die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 und/oder Artikel 29 Absätze 3 und 4 der Verordnung (EU) 2018/1725 zu gewährleisten.

c) Diese Klauseln gelten für die Verarbeitung personenbezogener Daten gemäß Anhang II.

d) Die Anhänge I bis IV sind Bestandteil der Klauseln.

e) Diese Klauseln gelten unbeschadet der Verpflichtungen, denen der Verantwortliche gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

f) Diese Klauseln stellen für sich allein genommen nicht sicher, dass die Verpflichtungen im Zusammenhang mit internationalen Datenübermittlungen gemäß Kapitel V der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 erfüllt werden.

Klausel 2 Unabänderbarkeit der Klauseln

a) Die Parteien verpflichten sich, die Klauseln nicht zu ändern, es sei denn, zur Ergänzung oder Aktualisierung der in den Anhängen angegebenen Informationen.

b) Dies hindert die Parteien nicht daran die in diesen Klauseln festgelegten Standardvertragsklauseln in einen umfangreicheren Vertrag aufzunehmen und weitere Klauseln oder zusätzliche Garantien hinzuzufügen, sofern diese weder unmittelbar noch mittelbar im Widerspruch zu den Klauseln stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden.

Klausel 3 Auslegung

a) Werden in diesen Klauseln die in der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 definierten Begriffe verwendet, so haben diese Begriffe dieselbe Bedeutung wie in der betreffenden Verordnung.

b) Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 auszulegen.

c) Diese Klauseln dürfen nicht in einer Weise ausgelegt werden, die den in der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten zuwiderläuft oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneidet.

Klausel 4 Vorrang

Im Falle eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen damit zusammenhängender Vereinbarungen, die zwischen den Parteien bestehen oder später eingegangen oder geschlossen werden, haben diese Klauseln Vorrang.

Klausel 5 (fakultativ) Kopplungsklausel

a) Eine Einrichtung, die nicht Partei dieser Klauseln ist, kann diesen Klauseln mit Zustimmung aller Parteien jederzeit als Verantwortlicher oder als Auftragsverarbeiter beitreten, indem sie die Anhänge ausfüllt und Anhang I unterzeichnet.

b) Nach Ausfüllen und Unterzeichnen der unter Buchstabe a genannten Anhänge wird die beitretende Einrichtung als Partei dieser Klauseln behandelt und hat die Rechte und Pflichten eines Verantwortlichen oder eines Auftragsverarbeiters entsprechend ihrer Bezeichnung in Anhang I.

c) Für die beitretende Einrichtung gelten für den Zeitraum vor ihrem Beitritt als Partei keine aus diesen Klauseln resultierenden Rechte oder Pflichten.

ABSCHNITT II: PFLICHTEN DER PARTEIEN

Klausel 6 Beschreibung der Verarbeitung

Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten und die Zwecke, für die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anhang II aufgeführt.

Klausel 7 Pflichten der Parteien

7.1 Weisungen

a) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Verantwortliche kann während der gesamten Dauer der Verarbeitung personenbezogener Daten weitere Weisungen erteilen. Diese Weisungen sind stets zu dokumentieren.

b) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen die Verordnung (EU) 2016/679, die Verordnung (EU) 2018/1725 oder geltende Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstoßen.

7.2 Zweckbindung Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für den/die in Anhang II genannten spezifischen Zweck(e), sofern er keine weiteren Weisungen des Verantwortlichen erhält.

7.3 Dauer der Verarbeitung personenbezogener Daten Die Daten werden vom Auftragsverarbeiter nur für die in Anhang II angegebene Dauer verarbeitet.

7.4 Sicherheit der Verarbeitung

a) Der Auftragsverarbeiter ergreift mindestens die in Anhang III aufgeführten technischen und organisatorischen Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dies umfasst den Schutz der Daten vor einer Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu den Daten führt (im Folgenden "Verletzung des Schutzes personenbezogener Daten").

Bei der Beurteilung des angemessenen Schutzniveaus tragen die Parteien dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie den für die betroffenen Personen verbundenen Risiken gebührend Rechnung.

b) Der Auftragsverarbeiter gewährt seinem Personal nur insoweit Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, als dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.5 Sensible Daten Falls die Verarbeitung personenbezogene Daten betrifft, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, oder die genetische Daten oder biometrische Daten zum Zweck der eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit, das Sexualleben oder die sexuelle Ausrichtung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten enthalten (im Folgenden "sensible Daten"), wendet der Auftragsverarbeiter spezielle Beschränkungen und/oder zusätzlichen Garantien an.

7.6 Dokumentation und Einhaltung der Klauseln

a) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.

b) Der Auftragsverarbeiter bearbeitet Anfragen des Verantwortlichen bezüglich der Verarbeitung von Daten gemäß diesen Klauseln umgehend und in angemessener Weise.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der in diesen Klauseln festgelegten und unmittelbar aus der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 hervorgehenden Pflichten erforderlich sind. Auf Verlangen des Verantwortlichen gestattet der Auftragsverarbeiter ebenfalls die Prüfung der unter diese Klauseln fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer solchen Prüfung bei.

Bei der Entscheidung über eine Überprüfung oder Prüfung kann der Verantwortliche einschlägige Zertifizierungen des Auftragsverarbeiters berücksichtigen.

d) Der Verantwortliche kann die Prüfung selbst durchführen oder einen unabhängigen Prüfer beauftragen. Die Prüfungen können auch Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Auftragsverarbeiters umfassen und werden gegebenenfalls mit angemessener Vorankündigung durchgeführt.

e) Die Parteien stellen der/den zuständigen Aufsichtsbehörde(n) die in dieser Klausel genannten Informationen, einschließlich der Ergebnisse von Prüfungen, auf Anfrage zur Verfügung.

7.7 Einsatz von Unterauftragsverarbeitern

a) Der Auftragsverarbeiter besitzt die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragsverarbeitern, die in einer vereinbarten Liste aufgeführt sind. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens vier Wochen im Voraus ausdrücklich in schriftlicher Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und räumt dem Verantwortlichen damit ausreichend Zeit ein, um vor der Beauftragung des/der betreffenden Unterauftragsverarbeiter/s Einwände gegen diese Änderungen erheben zu können. Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben kann.

b) Beauftragt der Auftragsverarbeiter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen), so muss diese Beauftragung im Wege eines Vertrags erfolgen, der dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diejenigen, die für den Auftragsverarbeiter gemäß diesen Klauseln gelten. Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der Auftragsverarbeiter entsprechend diesen Klauseln und gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Verlangen eine Kopie einer solchen Untervergabevereinbarung und etwaiger späterer Änderungen zur Verfügung. Soweit es zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen, einschließlich personenbezogener Daten notwendig ist, kann der Auftragsverarbeiter den Wortlaut der Vereinbarung vor der Weitergabe einer Kopie unkenntlich machen.

d) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten gemäß dem mit dem Auftragsverarbeiter geschlossenen Vertrag nachkommt. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen, wenn der Unterauftragsverarbeiter seine vertraglichen Pflichten nicht erfüllt.

e) Der Auftragsverarbeiter vereinbart mit dem Unterauftragsverarbeiter eine Drittbegünstigtenklausel, wonach der Verantwortliche , im Falle, dass der Auftragsverarbeiter faktisch oder rechtlich nicht mehr besteht oder zahlungsunfähig ist , das Recht hat, den Untervergabevertrag zu kündigen und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben.

7.8 Internationale Datenübermittlungen

a) Jede Übermittlung von Daten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grundlage dokumentierter Weisungen des Verantwortlichen oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, und muss mit Kapitel V der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 im Einklang stehen.

b) Der Verantwortliche erklärt sich damit einverstanden, dass in Fällen, in denen der Auftragsverarbeiter einen Unterauftragsverarbeiter gemäß Klausel 7.7 für die Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen) in Anspruch nimmt und diese Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne von Kapitel V der Verordnung (EU) 2016/679 beinhalten, der Auftragsverarbeiter und der Unterauftragsverarbeiter die Einhaltung von Kapitel V der Verordnung (EU) 2016/679 sicherstellen können, indem sie Standardvertragsklauseln verwenden, die von der Kommission gemäß Artikel 46 Absatz 2 der Verordnung (EU) 2016/679 erlassen wurden, sofern die Voraussetzungen für die Anwendung dieser Standardvertragsklauseln erfüllt sind.

Klausel 8 Unterstützung des Verantwortlichen

a) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über jeden Antrag, den er von der betroffenen Person erhalten hat. Er beantwortet den Antrag nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.

b) Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung von dessen Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten. Bei der Erfüllung seiner Pflichten gemäß den Buchstaben a und b befolgt der Auftragsverarbeiter die Weisungen des Verantwortlichen.

c) Abgesehen von der Pflicht des Auftragsverarbeiters, den Verantwortlichen gemäß Klausel 8 Buchstabe b zu unterstützen, unterstützt der Auftragsverarbeiter unter Berücksichtigung der Art der Datenverarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen zudem bei der Einhaltung der folgenden Pflichten:

1) Pflicht zur Durchführung einer Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (im Folgenden "Datenschutz-Folgenabschätzung"), wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat; 2) Pflicht zur Konsultation der zuständigen Aufsichtsbehörde(n) vor der Verarbeitung, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft; 3) Pflicht zur Gewährleistung, dass die personenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind, indem der Auftragsverarbeiter den Verantwortlichen unverzüglich unterrichtet, wenn er feststellt, dass die von ihm verarbeiteten personenbezogenen Daten unrichtig oder veraltet sind; 4) Verpflichtungen gemäß Artikel 32 der Verordnung (EU) 2016/679.

d) Die Parteien legen in Anhang III die geeigneten technischen und organisatorischen Maßnahmen zur Unterstützung des Verantwortlichen durch den Auftragsverarbeiter bei der Anwendung dieser Klausel sowie den Anwendungsbereich und den Umfang der erforderlichen Unterstützung fest.

Klausel 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten arbeitet der Auftragsverarbeiter mit dem Verantwortlichen zusammen und unterstützt ihn entsprechend, damit der Verantwortliche seinen Verpflichtungen gemäß den Artikeln 33 und 34 der Verordnung (EU) 2016/679 oder gegebenenfalls den Artikeln 34 und 35 der Verordnung (EU) 2018/1725 nachkommen kann, wobei der Auftragsverarbeiter die Art der Verarbeitung und die ihm zur Verfügung stehenden Informationen berücksichtigt.

9.1 Verletzung des Schutzes der vom Verantwortlichen verarbeiteten Daten Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Verantwortlichen verarbeiteten Daten unterstützt der Auftragsverarbeiter den Verantwortlichen wie folgt:

a) bei der unverzüglichen Meldung der Verletzung des Schutzes personenbezogener Daten an die zuständige(n) Aufsichtsbehörde(n), nachdem dem Verantwortlichen die Verletzung bekannt wurde, sofern relevant (es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen);

b) bei der Einholung der folgenden Informationen, die gemäß Artikel 33 Absatz 3 der Verordnung (EU) 2016/679 in der Meldung des Verantwortlichen anzugeben sind, wobei diese Informationen mindestens Folgendes umfassen müssen: 1) die Art der personenbezogenen Daten, soweit möglich, mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze; 2) die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten; 3) die vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschließend ohne unangemessene Verzögerung bereitgestellt;

c) bei der Einhaltung der Pflicht gemäß Artikel 34 der Verordnung (EU) 2016/679, die betroffene Person unverzüglich von der Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn diese Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

9.2 Verletzung des Schutzes der vom Auftragsverarbeiter verarbeiteten Daten Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Auftragsverarbeiter verarbeiteten Daten meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt wurde. Diese Meldung muss zumindest folgende Informationen enthalten:

a) eine Beschreibung der Art der Verletzung (möglichst unter Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und der ungefähren Zahl der betroffenen Datensätze);

b) Kontaktdaten einer Anlaufstelle, bei der weitere Informationen über die Verletzung des Schutzes personenbezogener Daten eingeholt werden können;

c) die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschließend ohne unangemessene Verzögerung bereitgestellt.

Die Parteien legen in Anhang III alle sonstigen Angaben fest, die der Auftragsverarbeiter zur Verfügung zu stellen hat, um den Verantwortlichen bei der Erfüllung von dessen Pflichten gemäß Artikel 33 und 34 der Verordnung (EU) 2016/679 zu unterstützen.

ABSCHNITT III: SCHLUSSBESTIMMUNGEN

Klausel 10 Verstöße gegen die Klauseln und Beendigung des Vertrags

a) Falls der Auftragsverarbeiter seinen Pflichten gemäß diesen Klauseln nicht nachkommt, kann der Verantwortliche , unbeschadet der Bestimmungen der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 , den Auftragsverarbeiter anweisen, die Verarbeitung personenbezogener Daten auszusetzen, bis er diese Klauseln einhält oder der Vertrag beendet ist. Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn er aus welchen Gründen auch immer nicht in der Lage ist, diese Klauseln einzuhalten.

b) Der Verantwortliche ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn 1) der Verantwortliche die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter gemäß Buchstabe a ausgesetzt hat und die Einhaltung dieser Klauseln nicht innerhalb einer angemessenen Frist, in jedem Fall aber innerhalb eines Monats nach der Aussetzung, wiederhergestellt wurde; 2) der Auftragsverarbeiter in erheblichem Umfang oder fortdauernd gegen diese Klauseln verstößt oder seine Verpflichtungen gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 nicht erfüllt; 3) der Auftragsverarbeiter einer bindenden Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde(n), die seine Pflichten gemäß diesen Klauseln, der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 zum Gegenstand hat, nicht nachkommt.

c) Der Auftragsverarbeiter ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn der Verantwortliche auf der Erfüllung seiner Anweisungen besteht, nachdem er vom Auftragsverarbeiter darüber in Kenntnis gesetzt wurde, dass seine Anweisungen gegen geltende rechtliche Anforderungen gemäß Klausel 7.1 Buchstabe b verstoßen.

d) Nach Beendigung des Vertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten und bescheinigt dem Verantwortlichen, dass dies erfolgt ist, oder er gibt alle personenbezogenen Daten an den Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragsverarbeiter weiterhin die Einhaltung dieser Klauseln.

ANHANG I: LISTE DER PARTEIEN und ANHANG II: BESCHREIBUNG DER VERARBEITUNG

Siehe Anlage A1 (AVV Leistungsbeschreibung) dieses AVV.

ANHANG III: TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN, EINSCHLIESSLICH ZUR GEWÄHRLEISTUNG DER SICHERHEIT DER DATEN

Siehe Anlage A3 (TOM) dieses AVV. Die technischen und organisatorischen Maßnahmen des Auftragsverarbeiters sind in der jeweils geltenden Fassung auf seiner Website veröffentlicht, siehe Ziffer 3.3 des AVV.